Setiap organisasi menghadapi berbagai risiko dalam menjalankan aktivitas bisnisnya. Namun, tidak semua risiko harus dihindari atau dihilangkan. Dalam banyak kasus, organisasi justru perlu mengambil risiko tertentu untuk memperoleh peluang bisnis, meningkatkan keuntungan, atau mencapai tujuan strategis. Oleh karena itu, diperlukan batasan yang jelas mengenai seberapa besar risiko yang bersedia diambil dan sejauh mana risiko tersebut masih dapat diterima.
Dua konsep penting dalam manajemen risiko yang berkaitan dengan hal tersebut adalah Risk Appetite dan Risk Tolerance. Keduanya menjadi dasar dalam pengambilan keputusan, penyusunan strategi bisnis, alokasi sumber daya, serta implementasi pengendalian risiko.
Dalam kerangka ISO 31000 maupun Enterprise Risk Management (ERM), penetapan Risk Appetite dan Risk Tolerance membantu organisasi memastikan bahwa setiap keputusan bisnis tetap berada dalam batas risiko yang dapat diterima.
Artikel ini membahas pengertian, perbedaan, manfaat, cara menetapkan, contoh penerapan, serta praktik terbaik dalam menentukan Risk Appetite dan Risk Tolerance.
Apa itu Risk Appetite?
Risk Appetite adalah tingkat atau jumlah risiko yang bersedia diterima organisasi dalam rangka mencapai tujuan strategisnya.
Risk Appetite mencerminkan sikap organisasi terhadap risiko dan menjadi pedoman bagi manajemen dalam mengambil keputusan.
Secara sederhana:
Risk Appetite menjawab pertanyaan: “Seberapa besar risiko yang bersedia kita ambil?”
Misalnya:
Perusahaan startup biasanya memiliki Risk Appetite yang tinggi terhadap inovasi.
Bank memiliki Risk Appetite yang rendah terhadap risiko kredit dan kepatuhan.
Rumah sakit memiliki Risk Appetite yang sangat rendah terhadap risiko keselamatan pasien.
Apa itu Risk Tolerance?
Risk Tolerance adalah batas maksimum penyimpangan atau tingkat risiko yang masih dapat diterima sebelum organisasi harus mengambil tindakan korektif.
Jika Risk Appetite bersifat strategis, maka Risk Tolerance lebih bersifat operasional dan terukur.
Secara sederhana:
Risk Tolerance menjawab pertanyaan: “Sampai batas mana risiko masih dapat diterima?”
Contoh:
Downtime sistem maksimal 2 jam.
Tingkat kesalahan produksi maksimal 1%.
Kehilangan data maksimal 0%.
Keterlambatan pengiriman maksimal 3% dari total pesanan.
Apabila batas tersebut terlampaui, organisasi wajib melakukan tindakan mitigasi.
Perbedaan Risk Appetite dan Risk Tolerance
Aspek
Risk Appetite
Risk Tolerance
Pengertian
Tingkat risiko yang bersedia diterima
Batas maksimum risiko yang masih dapat diterima
Fokus
Strategis
Operasional
Sifat
Umum
Spesifik dan terukur
Penetapan
Direksi dan Dewan Komisaris
Manajemen dan pemilik proses
Tujuan
Menentukan arah pengambilan risiko
Mengendalikan risiko dalam batas yang ditentukan
Mengapa Risk Appetite Penting?
Risk Appetite memberikan manfaat sebagai berikut:
mendukung pengambilan keputusan strategis;
menyelaraskan risiko dengan tujuan organisasi;
membantu menentukan prioritas investasi;
meningkatkan konsistensi pengelolaan risiko;
menghindari pengambilan risiko yang berlebihan.
Mengapa Risk Tolerance Penting?
Risk Tolerance membantu organisasi:
menetapkan batas operasional yang jelas;
mendeteksi penyimpangan lebih cepat;
memudahkan proses monitoring;
meningkatkan efektivitas pengendalian;
mendukung pencapaian target kinerja.
Hubungan dengan ISO 31000
Dalam ISO 31000, penetapan Risk Appetite dan Risk Tolerance menjadi bagian penting ketika organisasi:
menentukan konteks risiko;
menetapkan kriteria risiko;
mengevaluasi tingkat risiko;
menentukan prioritas mitigasi.
Dengan adanya batas yang jelas, hasil Risk Assessment dapat dievaluasi secara lebih objektif.
Cara Menentukan Risk Appetite
Langkah-langkah yang dapat dilakukan organisasi antara lain:
1. Memahami Tujuan Strategis
Risk Appetite harus selaras dengan visi, misi, dan sasaran organisasi.
Contoh:
meningkatkan pangsa pasar;
mempercepat transformasi digital;
memperluas ekspansi bisnis.
2. Mengidentifikasi Risiko Utama
Identifikasi risiko yang dapat memengaruhi tujuan strategis.
Misalnya:
risiko keuangan;
risiko operasional;
risiko keamanan siber;
risiko kepatuhan;
risiko reputasi.
3. Menilai Kapasitas Risiko (Risk Capacity)
Risk Capacity adalah kemampuan maksimum organisasi dalam menanggung risiko berdasarkan:
kondisi keuangan;
sumber daya;
kemampuan operasional;
persyaratan regulator.
Risk Appetite tidak boleh melebihi Risk Capacity.
4. Mendiskusikan dengan Manajemen Puncak
Penetapan Risk Appetite harus melibatkan:
Direksi;
Dewan Komisaris;
Komite Risiko;
Chief Risk Officer (CRO).
5. Mendokumentasikan Pernyataan Risk Appetite
Organisasi sebaiknya memiliki Risk Appetite Statement yang menjelaskan sikap organisasi terhadap berbagai kategori risiko.
Contoh:
“Perusahaan memiliki toleransi rendah terhadap risiko kepatuhan, toleransi sedang terhadap risiko operasional, dan toleransi tinggi terhadap risiko inovasi produk.”
Cara Menentukan Risk Tolerance
Risk Tolerance ditentukan melalui indikator yang dapat diukur.
Contohnya:
Area
Risk Tolerance
Downtime Sistem
Maksimal 2 jam
Keterlambatan Pengiriman
Maksimal 3%
Keluhan Pelanggan
Maksimal 2%
Tingkat Cacat Produk
Maksimal 1%
Kehilangan Data
0%
Nilai tersebut menjadi acuan dalam proses monitoring dan evaluasi.
Contoh Penerapan
Perbankan
Risk Appetite:
konservatif terhadap risiko kredit;
sangat rendah terhadap fraud;
rendah terhadap pelanggaran regulasi.
Risk Tolerance:
Non-Performing Loan (NPL) maksimal 3%;
downtime ATM maksimal 30 menit.
Rumah Sakit
Risk Appetite:
sangat rendah terhadap risiko keselamatan pasien.
Risk Tolerance:
kesalahan pemberian obat maksimal 0%;
downtime sistem rekam medis maksimal 1 jam.
Perusahaan Teknologi
Risk Appetite:
tinggi terhadap inovasi.
Risk Tolerance:
downtime aplikasi maksimal 30 menit per bulan;
kehilangan data pelanggan 0%.
Hubungan Risk Appetite dan Risk Tolerance dengan GRC
Dalam kerangka Governance, Risk Management, and Compliance (GRC):
Governance
memberikan arah dalam pengambilan keputusan;
memastikan strategi bisnis sesuai tingkat risiko yang dapat diterima.
Risk Management
menjadi dasar evaluasi hasil Risk Assessment;
menentukan prioritas mitigasi;
membantu penyusunan Risk Register.
Compliance
memastikan batas risiko tidak melanggar regulasi;
mendukung pengawasan dan audit.
Tantangan dalam Penetapan
Beberapa tantangan yang sering dihadapi organisasi antara lain:
kurangnya data historis;
perubahan lingkungan bisnis yang cepat;
perbedaan persepsi antarunit;
kesulitan menentukan indikator yang terukur;
kurangnya dukungan manajemen.
Untuk mengatasinya, organisasi perlu melakukan evaluasi secara berkala dan menyesuaikan batas risiko dengan kondisi terkini.
Praktik Terbaik (Best Practices)
Agar penetapan Risk Appetite dan Risk Tolerance efektif, organisasi sebaiknya:
Menyelaraskan dengan strategi bisnis.
Melibatkan Direksi dan Dewan Komisaris.
Menetapkan indikator yang jelas dan terukur.
Mengomunikasikan kebijakan kepada seluruh unit kerja.
Meninjau kembali secara berkala sesuai perubahan lingkungan.
Mengintegrasikan dengan Key Risk Indicators (KRI).
Menggunakan data historis dan analisis tren sebagai dasar penetapan.
Mendokumentasikan Risk Appetite Statement secara formal.
Mengaitkan batas risiko dengan proses pengambilan keputusan.
Memastikan hasil monitoring dilaporkan kepada manajemen secara berkala.
Ilustrasi Hubungan Risk Appetite dan Risk Tolerance
TUJUAN STRATEGIS
│
▼
RISK APPETITE
(Tingkat Risiko yang Bersedia Diambil)
│
▼
RISK TOLERANCE
(Batas Maksimum yang Dapat Diterima)
│
▼
RISK ASSESSMENT
│
▼
MITIGASI DAN MONITORING
Studi Kasus Singkat
Sebuah perusahaan jasa keuangan menetapkan strategi ekspansi layanan digital untuk meningkatkan jumlah nasabah. Dalam kebijakan manajemen risiko, Direksi menyatakan bahwa perusahaan memiliki Risk Appetite yang tinggi terhadap inovasi teknologi, namun sangat rendah terhadap risiko keamanan informasi dan kepatuhan.
Untuk mendukung kebijakan tersebut, perusahaan menetapkan Risk Tolerance berupa downtime aplikasi maksimal 30 menit per bulan, tingkat keberhasilan transaksi minimal 99,9%, dan tidak ada insiden kebocoran data pelanggan. Setiap bulan, indikator tersebut dipantau melalui dashboard risiko. Ketika downtime melebihi batas yang ditetapkan, tim TI segera melakukan analisis akar penyebab dan menerapkan tindakan perbaikan agar risiko kembali berada dalam batas yang dapat diterima.
Indikator Keberhasilan
Indikator
Contoh Pengukuran
Risk Appetite Statement
Dokumen disetujui oleh Direksi dan Dewan Komisaris
Kepatuhan terhadap Batas Risiko
Persentase indikator yang berada dalam batas Risk Tolerance
Pelanggaran Batas Risiko
Jumlah kejadian yang melebihi Risk Tolerance
Review Berkala
Frekuensi peninjauan ulang Risk Appetite dan Risk Tolerance
Pengambilan Keputusan
Persentase keputusan strategis yang mempertimbangkan batas risiko
Monitoring
Ketepatan waktu pelaporan indikator risiko kepada manajemen
Kesimpulan
Risk Appetite dan Risk Tolerance merupakan dua konsep fundamental dalam manajemen risiko yang membantu organisasi menentukan tingkat risiko yang bersedia diambil dan batas maksimum risiko yang masih dapat diterima. Risk Appetite memberikan arah strategis bagi pengambilan keputusan, sedangkan Risk Tolerance menjadi pedoman operasional dalam memantau dan mengendalikan risiko. Dengan menetapkan keduanya secara jelas, organisasi dapat mengambil peluang secara terukur, meningkatkan efektivitas pengendalian, memperkuat tata kelola, dan mendukung implementasi Governance, Risk Management, and Compliance (GRC) secara lebih efektif.
